.NET 8 C# Web API在Linux启动失败：无法配置HTTPS端点，未指定证书

问题核心 #

你的.NET 8 Web API启动时要求配置HTTPS端点证书，但服务器上的SSL证书已配置在NGINX上，本地开发环境依赖自动生成的开发者证书，生产环境没有对应配置导致启动失败。

解决方案 #

方案1：让Kestrel直接使用服务器SSL证书（适合不需要NGINX反向代理的场景） #

如果需要Kestrel直接处理HTTPS请求，按以下步骤配置：

1. 准备证书文件：将NGINX使用的SSL证书导出为带私钥的.pfx格式，上传到服务器的安全目录（比如/opt/certs/）。
2. 修改appsettings.json添加Kestrel配置：

{
  "Kestrel": {
    "Endpoints": {
      "Http": {
        "Url": "http://0.0.0.0:5000"
      },
      "Https": {
        "Url": "https://0.0.0.0:5001",
        "Certificate": {
          "Path": "/opt/certs/your-cert-file.pfx",
          "Password": "your-cert-password"
        }
      }
    }
  }
}

3. 或通过命令行启动时指定证书：

dotnet YourApi.dll --urls "http://0.0.0.0:5000;https://0.0.0.0:5001" --https-certificate-path "/opt/certs/your-cert-file.pfx" --https-certificate-password "your-cert-password"

方案2：利用NGINX处理SSL，让Kestrel仅监听HTTP（更推荐） #

既然服务器已配置NGINX处理SSL，推荐让Kestrel只运行在HTTP模式，由NGINX做反向代理，步骤如下：

1. 修改生产环境配置文件：
   • 在appsettings.json中指定Kestrel仅监听HTTP：

   {
     "Urls": "http://0.0.0.0:5000"
   }
   

   • 或在Program.cs中硬编码配置（可选）：

   var builder = WebApplication.CreateBuilder(args);
   // 其他服务配置...
   builder.WebHost.ConfigureKestrel(options =>
   {
       options.ListenAnyIP(5000); // 监听所有IP的5000端口（HTTP）
   });
   var app = builder.Build();
   

2. 配置NGINX反向代理：
   确保NGINX配置文件中存在指向Kestrel端口的反向代理规则，示例：

   server {
       listen 443 ssl;
       server_name your-domain.com;
   
       ssl_certificate /path/to/your/cert.pem;
       ssl_certificate_key /path/to/your/private-key.pem;
   
       location / {
           proxy_pass http://localhost:5000;
           proxy_set_header Host $host;
           proxy_set_header X-Real-IP $remote_addr;
           proxy_set_header X-Forwarded-For $proxy_add_x_forwarded_for;
           proxy_set_header X-Forwarded-Proto $scheme;
       }
   }
   

3. 让API识别反向代理的请求信息：
   在Program.cs中添加转发头配置，确保API能正确获取客户端真实IP和请求协议：

   var builder = WebApplication.CreateBuilder(args);
   // 配置转发头
   builder.Services.Configure<ForwardedHeadersOptions>(options =>
   {
       options.ForwardedHeaders = ForwardedHeaders.XForwardedFor | ForwardedHeaders.XForwardedProto;
       // 如果NGINX运行在同一服务器，可添加以下行信任本地IP
       options.KnownProxies.Add(IPAddress.Parse("127.0.0.1"));
   });
   var app = builder.Build();
   // 必须在其他中间件之前使用转发头
   app.UseForwardedHeaders();
   // 其他中间件配置（如路由、认证等）...
   app.Run();
   

注意事项 #

• 本地开发环境的appsettings.Development.json中的HTTPS配置不会自动同步到生产环境，务必检查生产环境的appsettings.json。
• 确保证书文件的权限正确，.NET进程需要读取证书文件的权限（可执行chmod 600 /opt/certs/your-cert-file.pfx限制访问）。

内容的提问来源于stack exchange，提问作者Luiz Felipe Domingos